CLOUD Act, FISA 702 og andre amerikanske love

Modul 1: Hvorfor en europæisk cloud? · Læsetid: 12 minutter

Læringsmål: Efter denne lektion kan du forklare hvilke amerikanske love giver adgang til data hos amerikanske virksomheder, hvorfor det også gælder når dataene ligger i Europa, og hvad status er i november 2026.

Nøglebegreber: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", udbyder af en elektronisk kommunikationstjeneste, FISA Section 702, FISA-domstolen (FISC), certificering, Executive Order 12333, tavshedspålæg, strafferet over for efterretningsarbejde

Hvorfor amerikanske love handler om europæiske servere

I lektion 1.1 så du at en virksomhed hører under lovgivningen i det land hvor den er etableret. For de fleste store cloudtjenester er det USA. To amerikanske love går igen i enhver diskussion om den europæiske cloud: CLOUD Act og Section 702 i FISA. De har forskellige formål og virker forskelligt, så det er godt at holde dem adskilt.

Dette er en forklaring, ikke juridisk rådgivning. Den amerikanske lovgivning og fortolkningen af den ændrer sig; status i denne lektion er fra november 2026.

CLOUD Act: efterforskning i straffesager

CLOUD Act står for Clarifying Lawful Overseas Use of Data Act. Loven blev vedtaget den 23. marts 2018, som en del af en stor finanslov. Anledningen var en retssag mellem Microsoft og den amerikanske regering: FBI ville have mails fra en mistænkt som lå på en server i Irland, og Microsoft nægtede fordi dataene lå uden for USA. Før Højesteret afsagde dom, lavede Kongressen CLOUD Act, og dermed var sagen afgjort.

Kernen står i én sætning, som nu findes som 18 U.S.C. 2713. I almindelige ord: en udbyder af en elektronisk kommunikationstjeneste eller en fjernlagringstjeneste skal opbevare eller udlevere data som er i dens "possession, custody, or control", uanset om disse data befinder sig inden for eller uden for USA.

Hvad betyder det i praksis?

• Det handler om strafferetlig efterforskning. Myndighederne skal have en kendelse fra en dommer, som en warrant, ligesom ved data i USA.
• Det handler om data som virksomheden har i sin magt. Ligger din mail hos et europæisk datterselskab, men kan det amerikanske moderselskab tilgå det, så kan moderselskabet blive mødt med kravet.
• Udbyderen kan gøre indsigelse hvis udlevering strider mod et andet lands ret, men kun i visse tilfælde (især ved lande som USA har en særlig aftale med, såsom Storbritannien og Australien). En generel aftale mellem EU og USA om denne type beviser findes endnu ikke.
• Kunden bliver ikke altid orienteret. En dommer kan pålægge udbyderen et tavshedspålæg, så den ikke må advare dig.

Heroverfor står at databeskyttelsesforordningen (GDPR) (art. 48) siger at en udenlandsk dom eller kendelse om udlevering af data kun anerkendes hvis der findes en aftale, som en retshjælpsaftale. En amerikansk udbyder kan altså komme i klemme mellem to love. Det er netop problemet: du som kunde kan ikke vælge hvilken lov der vinder.

Et sigende øjeblik: i juni 2025 spurgte et undersøgelsesudvalg i det franske senat juridisk direktør hos Microsoft Frankrig om han under ed kunne garantere at data om franske borgere aldrig udleveres til amerikanske myndigheder uden Frankrigs samtykke. Hans svar: "Nej, det kan jeg ikke garantere." Han tilføjede at virksomheden bestrider uberettigede anmodninger, og at en sådan anmodning i praksis endnu ikke var forekommet. Begge dele af det svar er vigtige: risikoen er lille, men den findes, og virksomheden kan ikke udelukke den.

FISA Section 702: efterretninger om udlændinge

FISA er Foreign Intelligence Surveillance Act. Section 702 blev tilføjet i 2008. Formålet er ikke efterforskning af strafbare forhold, men indsamling af udenlandske efterretninger. Det er den store forskel til CLOUD Act:

Under Section 702 kan amerikanske myndigheder forpligte udbydere af elektroniske kommunikationstjenester til at medvirke ved indsamling af kommunikation fra udenlandske "targets". For en europæer giver amerikansk ret kun ringe beskyttelse her: den forfatningsmæssige beskyttelse mod ransagning (det fjerde tillæg) gælder primært amerikanere. Dette program spillede en hovedrolle i Schrems II-afgørelsen fra EU-Domstolen (lektion 1.4).

Status november 2026

Section 702 skal løbende forlænges af Kongressen. I april 2024 forlængede loven RISAA den med to år, til april 2026. I april 2026 lykkedes en lang forlængelse ikke; der kom to korte forlængelser. Den 12. juni 2026 udløb loven, for første gang siden 2008. Ifølge rapportering fortsætter indsamlingen i praksis, fordi FISA-domstolen allerede i marts 2026 havde godkendt de årlige certificeringer; de gælder omtrent til marts 2027. Kongressen fortsætter forhandlingerne om en ny forlængelse i lame-duck-perioden fra 9. november 2026.

For dit valg betyder det: uanset om loven lige nu er udløbet eller ej, forsvinder det underliggende problem ikke. Sandsynligheden er stor for at der kommer en ny forlængelse, og beføjelserne kan vende tilbage i en anden form.

Executive Order 12333: uden dommer

Ud over disse love findes Executive Order 12333 fra 1981, en præsidentiel bekendtgørelse om efterretningsarbejde. Den omfatter for eksempel aflytning af internetkabler og indsamling af data uden for USA, uden en dommers medvirken og uden at en virksomhed skal medvirke. For data som er krypteret undervejs er det et mindre problem; for data hos en amerikansk virksomhed er CLOUD Act og 702 de relevante veje.

Hvor stor er risikoen egentlig?

Ærligt talt: for de fleste små organisationer er sandsynligheden lille for at amerikanske myndigheder netop er interesseret i deres mail. Alligevel er der grunde til at tage det alvorligt:

• Du ved det ikke. På grund af tavshedspålæg hører du måske aldrig om det.
• Du er ikke den eneste berørte. I din mail findes data om kunder, leverandører og medarbejdere. Du skal beskytte deres data (lektion 1.2).
• Nogle data er følsomme. Et advokatkontor, en læge, en journalist eller en skole har en anden afvejning end et bageri.
• Reglerne kan ændre sig uden at du har noget at skulle have sagt.

Bakkerij De Korrel har ikke meget at frygte fra en efterretningstjeneste. Men Sanne tænker over at hendes mailboks også indeholder sygemeldinger fra sine medarbejdere. Det er helbredsoplysninger, og dem skal hun være ekstra omhyggelig med.

I praksis: sådan ser det ud hos en udbyder

En europæisk udbyder uden amerikansk moderselskab og uden amerikanske underdatabehandlere hører ikke under CLOUD Act og er ikke en "provider" i Section 702's forstand. Den kan stadig blive forpligtet til at medvirke med europæisk politi og anklagemyndighed, men så efter europæisk og national ret, med en europæisk dommer som kontrolinstans. Hos WebOké står der i Nextcloud-vejledningen at dine filer ikke går til amerikanske cloudvirksomheder. Hos andre udbydere leder du efter en liste over underdatabehandlere og efter den juridiske ejer (lektion 2.1).

Sammenfatning

• CLOUD Act (2018) forpligter amerikanske udbydere til at udlevere data i deres magt ved en strafferetlig kendelse, også selvom de ligger i udlandet.
• FISA Section 702 giver amerikanske myndigheder adgang til kommunikation fra ikke-amerikanere uden for USA, til efterretningsformål, uden kendelse per person.
• Section 702 udløb den 12. juni 2026, men ifølge rapportering fortsætter indsamlingen på baggrund af certificeringer fra marts 2026; en ny forlængelse er under forhandling.
• En server i Europa beskytter ikke hvis virksomheden bag hører under amerikansk ret.
• Risikoen er lille for de fleste organisationer, men kan ikke udelukkes eller kontrolleres.

Quiz

Opgave

Opgave E1.3: Under hvilken lovgivning hører din tjeneste? Vælg din vigtigste cloudtjeneste. Find ud af hvilken virksomhed der indgår kontrakten med dig (står i vilkårene), hvor den er etableret, og hvem det endelige moderselskab er. Besvar: kan CLOUD Act finde anvendelse på denne tjeneste, og hvorfor?

Læs mere

Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det på lignende vis.

• Nextcloud-vejledning 15.13: Ofte stillede spørgsmål om sikkerhed og privatliv
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) og CRS-rapporten "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Forordning (EU) 2016/679 (databeskyttelsesforordningen, GDPR), artikel 48 (udenlandske kendelser om udlevering)